ESET PROTECT On-Prem

Εκτός σύνδεσης | Σύνδεση

ESET PROTECT On-Prem – Πίνακας περιεχομένων

# Εξαγωγή συμβάντων σε μορφή JSON

Αντιγραφή διεύθυνσης URL τρέχοντος άρθρου Κοινοποίηση μέσω email

Το JSON είναι μια ελαφριά μορφή ανταλλαγής δεδομένων. Βασίζεται στη συλλογή ζευγών ονομάτων/τιμών και σε μια ταξινομημένη λίστα τιμών.

## Εξαχθέντα συμβάντα

Αυτή η ενότητα περιέχει λεπτομέρειες για τη μορφή και τη σημασία των χαρακτηριστικών όλων των εξαχθέντων συμβάντων. Το μήνυμα συμβάντος έχει τη μορφή αντικειμένου JSON με κάποια υποχρεωτικά και κάποια προαιρετικά κλειδιά. Καθένα από τα εξαχθέντα συμβάντα θα περιέχει το παρακάτω κλειδί:

event_type | συμβολοσειρά |  | Τύπος εξαχθέντων συμβάντων: •Threat_Event (Ανιχνεύσεις Antivirus) •FirewallAggregated_Event ( Ανιχνεύσεις από το Τείχος προστασίας) •HipsAggregated_Event ( Ανιχνεύσεις HIPS) •Audit_Event (Αρχείο καταγραφής ελέγχου) •FilteredWebsites_Event (Φιλτραρισμένοι ιστότοποι – Προστασία στο διαδίκτυο) •EnterpriseInspectorAlert_Event ( Συναγερμοί του ESET Inspect) •BlockedFiles_Event ( Αποκλεισμένα αρχεία)
--- | --- | --- | ---
ipv4 | συμβολοσειρά | προαιρετικά | Η διεύθυνση IPv4 του υπολογιστή στον οποίο δημιουργείται το συμβάν.
ipv6 | συμβολοσειρά | προαιρετικά | Η διεύθυνση IPv6 του υπολογιστή στον οποίο δημιουργείται το συμβάν.
hostname | συμβολοσειρά |  | Το όνομα του κεντρικού υπολογιστή στον οποίο δημιουργείται το συμβάν.
source_uuid | συμβολοσειρά |  | Το αναγνωριστικό UUID του υπολογιστή στον οποίο δημιουργείται το συμβάν.
occurred | συμβολοσειρά |  | Η ώρα UTC που παρουσιάστηκε το συμβάν. Η μορφή είναι %d-%b-%Y %H:%M:%S
severity | συμβολοσειρά |  | Η κρισιμότητα του συμβάντος. Οι πιθανές τιμές (από τη λιγότερο στην περισσότερο κρίσιμη) είναι: Πληροφορία, Ειδοποίηση, Προειδοποίηση, Σφάλμα, Κρίσιμο, Ανεπανόρθωτο.
group_name | συμβολοσειρά |  | Η πλήρης διαδρομή στην στατική ομάδα του υπολογιστή στον οποίο δημιουργήθηκε το συμβάν. Εάν η διαδρομή είναι μεγαλύτερη από 255 χαρακτήρες, το group_name περιέχει μόνο το όνομα της στατικής ομάδας.
group_description | συμβολοσειρά |  | Περιγραφή της στατικής ομάδας.
os_name | συμβολοσειρά |  | Πληροφορίες σχετικά με το λειτουργικό σύστημα του υπολογιστή.

|  | Όλοι οι τύποι συμβάντων που αναφέρονται παρακάτω με όλα τα επίπεδα κρισιμότητας αναφέρονται στον διακομιστή Syslog. Για να φιλτράρετε τα αρχεία καταγραφής συμβάντων που αποστέλλονται στο Syslog, δημιουργήστε μια ειδοποίηση κατηγορίας καταγραφής με ένα καθορισμένο φίλτρο. Οι αναφερόμενες τιμές εξαρτώνται από το προϊόν ασφάλειας ESET (και την έκδοσή του) που είναι εγκατεστημένο στον διαχειριζόμενο υπολογιστή και το ESET PROTECT On-Prem αναφέρει μόνο τα δεδομένα που έχουν παραληφθεί. Συνεπώς, η ESET δεν μπορεί να παράσχει εξαντλητική λίστα όλων των τιμών. Συνιστάται να παρακολουθείτε το δίκτυό σας και να φιλτράρετε τα αρχεία καταγραφής με βάση τις τιμές που παραλαμβάνετε.

## Προσαρμοσμένα κλειδιά σύμφωνα με την παράμετρο event_type:

### Threat_Event

Όλα τα συμβάντα ανίχνευσης Antivirus που δημιουργούνται από διαχειριζόμενα τερματικά θα προωθούνται στο Syslog. Ειδικό κλειδί συμβάντος ανίχνευσης:

threat_type | συμβολοσειρά | προαιρετικά | Τύπος ανίχνευσης
--- | --- | --- | ---
threat_name | συμβολοσειρά | προαιρετικά | Όνομα ανίχνευσης
threat_flags | συμβολοσειρά | προαιρετικά | Σημάνσεις που σχετίζονται με την ανίχνευση
scanner_id | συμβολοσειρά | προαιρετικό | Αναγνωριστικό συσκευής σάρωσης
scan_id | συμβολοσειρά | προαιρετικό | Αναγνωριστικό σάρωσης
engine_version | συμβολοσειρά | προαιρετικό | Έκδοση του μηχανισμού σάρωσης
object_type | συμβολοσειρά | προαιρετικό | Ο τύπος του αντικειμένου που σχετίζεται με το συμβάν
object_uri | συμβολοσειρά | προαιρετικό | URI αντικειμένου
action_taken | συμβολοσειρά | προαιρετικό | Η ενέργεια που πραγματοποιήθηκε από το τερματικό
action_error | συμβολοσειρά | προαιρετικά | Μήνυμα σφάλματος εάν η «ενέργεια» δεν ήταν επιτυχής
threat_handled | δυαδική τιμή | προαιρετικά | Υποδεικνύει εάν αντιμετωπίστηκε η ανίχνευση
need_restart | δυαδική τιμή | προαιρετικό | Δείχνει εάν απαιτείται επανεκκίνηση ή όχι
username | συμβολοσειρά | προαιρετικό | Το όνομα του λογαριασμού χρήστη που σχετίζεται με το συμβάν
processname | συμβολοσειρά | προαιρετικό | Το όνομα της διεργασίας που σχετίζεται με το συμβάν
circumstances | συμβολοσειρά | προαιρετικό | Σύντομη περιγραφή της αιτίας του συμβάντος
hash | συμβολοσειρά | προαιρετικά | Κατακερματισμός SHA1 της ροής δεδομένων (της ανίχνευσης).
firstseen | συμβολοσειρά | προαιρετικά | Η ώρα και η ημερομηνία κατά την οποία εντοπίστηκε η ανίχνευση για πρώτη φορά στον συγκεκριμένο υπολογιστή. Το ESET PROTECT On-Prem χρησιμοποιεί διαφορετικές μορφές ημερομηνίας-ώρας για το χαρακτηριστικό firstseen (και οποιοδήποτε άλλο χαρακτηριστικό ημερομηνίας-ώρας) ανάλογα με τη μορφή εξόδου του αρχείου καταγραφής (JSON ή LEEF): •JSON μορφή:"%d-%b-%Y %H:%M:%S" •LEEF μορφή:"%b %d %Y %H:%M:%S"

Παράδειγμα αρχείου καταγραφής JSON Threat_Event:

Jun 21 11: 46: 40 030—MG ERAServer[5648]: { "event_type": "Threat_Event", "ipv4": "192.168.30.30", "hostname": "030-mg", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "1361a9f6-1d45-4561-b33a-b5d6c62c71e0", "occured": "21-Jun-2021 09:46:15", "severity": "Warning", "threat_type": "Virus", "threat_name": "XF/Gydhex.A", "scanner_id": "Real-time file system protection", "scan_id": "virlog.dat", "engine_version": "23497 (20210621)", "object_type": "file", "object_uri": "file:///C:/Users/Administrator/Downloads/xls/YICT080714.xls", "action_taken": "Deleted", "threat_handled": true, "need_restart": false, "username": "030-MG\\Administrator", "processname": "C:\\Program Files\\WinRAR\\WinRAR.exe", "circumstances": "Event occurred on a newly created file.", "firstseen": "21-Jun-2021 09:46:14", "hash": "5B97884A45C6C05F93B22C4059F3D9189E88E8B7" }

### FirewallAggregated_Event

Τα αρχεία καταγραφής συμβάντων που δημιουργούνται από το Τείχος προστασίας της ESET (ανιχνεύσεις από το Τείχος προστασίας) συγκεντρώνονται από τον φορέα ESET Management διαχείρισης για την αποφυγή της κατάχρησης εύρους ζώνης κατά την αναπαραγωγή ανάμεσα στον Φορέα ESET Management και τον Διακομιστή ESET PROTECT. Το κλειδί του Firewall περιλαμβάνει τα εξής:

event | συμβολοσειρά | προαιρετικά | Το όνομα του συμβάντος
--- | --- | --- | ---
source_address | συμβολοσειρά | προαιρετικά | Η διεύθυνση της προέλευσης του συμβάντος
source_address_type | συμβολοσειρά | προαιρετικά | Ο τύπος διεύθυνσης της προέλευσης του συμβάντος
source_port | αριθμητική τιμή | προαιρετικά | Η θύρα της προέλευσης του συμβάντος
target_address | συμβολοσειρά | προαιρετικά | Η διεύθυνση του προορισμού του συμβάντος
target_address_type | συμβολοσειρά | προαιρετικά | Ο τύπος διεύθυνσης του προορισμού του συμβάντος
target_port | αριθμητική τιμή | προαιρετικά | Η θύρα του προορισμού του συμβάντος
protocol | συμβολοσειρά | προαιρετικά | Πρωτόκολλο
account | συμβολοσειρά | προαιρετικό | Το όνομα του λογαριασμού χρήστη που σχετίζεται με το συμβάν
process_name | συμβολοσειρά | προαιρετικό | Το όνομα της διεργασίας που σχετίζεται με το συμβάν
rule_name | συμβολοσειρά | προαιρετικά | Όνομα κανόνα
rule_id | συμβολοσειρά | προαιρετικά | Αναγνωριστικό κανόνα
inbound | δυαδική τιμή | προαιρετικά | Δείχνει εάν η σύνδεση είναι εισερχόμενη ή όχι
threat_name | συμβολοσειρά | προαιρετικά | Όνομα ανίχνευσης
aggregate_count | αριθμητική τιμή | προαιρετικό | Δείχνει πόσα πανομοιότυπα μηνύματα δημιουργήθηκαν από το τερματικό μεταξύ δυο διαδοχικών αναπαραγωγών ανάμεσα στο διακομιστή ESET PROTECT και στο φορέα ESET Management
action | συμβολοσειρά | προαιρετικά | Η ενέργεια πραγματοποιήθηκε
handled | συμβολοσειρά | προαιρετικά | Υποδεικνύει εάν αντιμετωπίστηκε η ανίχνευση

Παράδειγμα αρχείου καταγραφής JSON FirewallAggregated_Event:

Jun 21 3: 54: 07 030—MG ERAServer[5648]: { "event_type": "FirewallAggregated_Event", "ipv4": "192.168.30.30", "hostname": "w16test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 13:10:04", "severity": ""Warning", "event": "Security vulnerability exploitation attempt", "source_address": "127.0.0.1", "source_address_type": "IPv4", "source_port": 54568, "target_address": "127.0.0.1", "target_address_type": "IPv4", "target_port": 80, "protocol": "TCP", "account": "NT AUTHORITY\\NETWORK SERVICE", "process_name": "C:\\Program Files\\Apache Software Foundation\\apache-tomcat-9.0.41\\bin\\tomcat9.exe", "inbound": true, "threat_name": "CVE-2017-5638.Struts2", "aggregate_count": 1 }

### HIPSAggregated_Event

Τα συμβάντα από το HIPS (Host-based Intrusion Prevention System) (ανιχνεύσεις HIPS) φιλτράρονται κατά κρισιμότητα προτού σταλούν ως μηνύματα Syslog. Τα χαρακτηριστικά HIPS έχουν ως εξής:

application | συμβολοσειρά | προαιρετικά | Όνομα εφαρμογής
--- | --- | --- | ---
operation | συμβολοσειρά | προαιρετικά | Λειτουργία
target | συμβολοσειρά | προαιρετικά | Προορισμός
action | συμβολοσειρά | προαιρετικά | Η ενέργεια πραγματοποιήθηκε
action_taken | συμβολοσειρά | προαιρετικό | Η ενέργεια που πραγματοποιήθηκε από το τερματικό
rule_name | συμβολοσειρά | προαιρετικά | Όνομα κανόνα
rule_id | συμβολοσειρά | προαιρετικά | Αναγνωριστικό κανόνα
aggregate_count | αριθμητική τιμή | προαιρετικό | Δείχνει πόσα πανομοιότυπα μηνύματα δημιουργήθηκαν από το τερματικό μεταξύ δυο διαδοχικών αναπαραγωγών ανάμεσα στο διακομιστή ESET PROTECT και στο φορέα ESET Management
handled | συμβολοσειρά | προαιρετικά | Υποδεικνύει εάν αντιμετωπίστηκε η ανίχνευση

Παράδειγμα αρχείου καταγραφής JSON HipsAggregated_Event:

Jun 21 13: 54: 07 030—MG ERAServer[5648]: { "event_type": "HipsAggregated_Event", "ipv4": "192.168.30.181", "hostname": "test-w10-uefi", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "5dbe31ae-4ca7-4e8c-972f-15c197d12474", "occured": "21-Jun-2021 11:53:21", "severity": "Critical", "application": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\java.exe", "operation": "Attempt to run a suspicious object", "target": "C:\\Users\\Administrator\\Desktop\\es_pack_to_test\\test\\trojan.exe", "action": "blocked", "handled": true, "rule_id": "Suspicious attempt to launch an application", "aggregate_count": 2 }

### Audit_Event

Το ESET PROTECT On-Prem προωθεί τα μηνύματα αρχείου καταγραφής εσωτερικού ελέγχου στο Syslog. Τα ειδικά χαρακτηριστικά έχουν ως εξής:

domain | συμβολοσειρά | προαιρετικά | Τομέας αρχείου καταγραφής ελέγχου
--- | --- | --- | ---
action | συμβολοσειρά | προαιρετικά | Ενέργεια που πραγματοποιείται
target | συμβολοσειρά | προαιρετικά | Η ενέργεια προορισμού λειτουργεί στη
detail | συμβολοσειρά | προαιρετικά | Λεπτομερής περιγραφή της ενέργειας
user | συμβολοσειρά | προαιρετικά | Εμπλεκόμενος χρήστης ασφάλειας
result | συμβολοσειρά | προαιρετικά | Αποτέλεσμα της ενέργειας

Παράδειγμα αρχείου καταγραφής Audit_Event:

Jun 21 11: 42: 00 030—MG ERAServer[5648]: { "event_type": "Audit_Event", "ipv4": "192.168.30.30", "hostname": "030-MG", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "72cdf05f-f9c8-49cc-863d-c6b3059a9e8e", "occured": "21-Jun-2021 09:42:00", "severity": "Information", "domain": "Native user", "action": "Login attempt", "target": "Administrator", "detail": "Authenticating native user 'Administrator'.", "user": "", "result": "Success" }

### FilteredWebsites_Event

Το ESET PROTECT On-Prem προωθεί τους φιλτραρισμένους ιστότοπους (Ανιχνεύσεις προστασίας στο διαδίκτυο) στο Syslog. Τα ειδικά χαρακτηριστικά έχουν ως εξής:

processname | συμβολοσειρά | προαιρετικό | Το όνομα της διεργασίας που σχετίζεται με το συμβάν
username | συμβολοσειρά | προαιρετικό | Το όνομα του λογαριασμού χρήστη που σχετίζεται με το συμβάν
hash | συμβολοσειρά | προαιρετικά | Κατακερματισμός SHA1 του φιλτραρισμένου αντικειμένου
event | συμβολοσειρά | προαιρετικά | Τύπος συμβάντος
rule_id | συμβολοσειρά | προαιρετικά | Αναγνωριστικό κανόνα
action_taken | συμβολοσειρά | προαιρετικά | Η ενέργεια πραγματοποιήθηκε
scanner_id | συμβολοσειρά | προαιρετικό | Αναγνωριστικό συσκευής σάρωσης
object_uri | συμβολοσειρά | προαιρετικό | URI αντικειμένου
target_address | συμβολοσειρά | προαιρετικά | Η διεύθυνση του προορισμού του συμβάντος
target_address_type | συμβολοσειρά | προαιρετικά | Ο τύπος διεύθυνσης του προορισμού του συμβάντος (25769803777 = IPv4; 25769803778 = IPv6)
handled | συμβολοσειρά | προαιρετικά | Υποδεικνύει εάν αντιμετωπίστηκε η ανίχνευση

Παράδειγμα αρχείου καταγραφής JSON FilteredWebsites_Event:

Jun 21 3: 56: 03 020—MG ERAServer[5648]: { "event_type": "FilteredWebsites_Event", "ipv4": "192.168.30.30", "hostname": "win-test", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "d9477661-8fa4-4144-b8d4-e37b983bcd69", "occured": "21-Jun-2021 03:56:20", "severity": "Warning", "event": "An attempt to connect to URL", "target_address": "192.255.255.255", "target_address_type": "IPv4", "scanner_id": "HTTP filter", "action_taken": "blocked", "object_uri": "https://test.com", "hash": "ABCDAA625E6961037B8904E113FD0C232A7D0EDC", "username": "WIN-TEST\\Administrator", "processname": "C:\\Program Files\\Web browser\\brwser.exe", "rule_id": "Blocked by PUA blacklist" }

### EnterpriseInspectorAlert_Event

Το ESET PROTECT On-Prem προωθεί τους συναγερμούς ESET Inspect στο Syslog. Τα ειδικά χαρακτηριστικά έχουν ως εξής:

processname | συμβολοσειρά | προαιρετικά | Όνομα της διεργασίας που προκαλεί αυτόν το συναγερμό
--- | --- | --- | ---
username | συμβολοσειρά | προαιρετικά | Κάτοχος της διεργασίας
rulename | συμβολοσειρά | προαιρετικά | Όνομα του κανόνα που ενεργοποιεί αυτόν το συναγερμό
count | αριθμητική τιμή | προαιρετικά | Αριθμός συναγερμών αυτού του τύπου που δημιουργήθηκαν μετά τον τελευταίο συναγερμό
hash | συμβολοσειρά | προαιρετικά | Κατακερματισμός SHA1 του συναγερμού
eiconsolelink | συμβολοσειρά | προαιρετικά | Σύνδεση με το συναγερμό στην κονσόλα ESET Inspect On-Prem
eialarmid | συμβολοσειρά | προαιρετικά | Υποτμήμα ταυτότητας της σύνδεσης συναγερμού ($1 στο ^http.*/alarm/([0-9]+)$)
computer_severity_score | αριθμητική τιμή | προαιρετικά | Βαθμολογία κρισιμότητας υπολογιστή
severity_score | αριθμητική τιμή | προαιρετικά | Βαθμολογία κρισιμότητας κανόνα

Παράδειγμα αρχείου καταγραφής JSON EnterpriseInspectorAlert_Event:

Jun 16 16:19:00 Win2016Std ERAServer[2772]: { "event_type": "EnterpriseInspectorAlert_Event", "ipv4": "192.168.30.30", "hostname": "shdsolec.vddjc", "group_name": "All/Lost & found", "os_name": "Microsoft Windows 11 Pro", "group_description": "Lost & found static group", "source_uuid": "csd77ad2-2453-42f4-80a4-d86dfa9d0543", "occured": "13-Jun-2021 07:45:00", "severity": "Warning", "processname": "ProcessName", "username": "UserName", "rulename": "RuleName2", "count": 158, "eiconsolelink": "http://eiserver.tmp/linkToConsole", "computer_severity_score": "1", "severity_score": "1" }

### BlockedFiles_Event

Το ESET PROTECT On-Prem προωθεί αποκλεισμένα αρχεία ESET Inspect On-Prem στο Syslog. Τα ειδικά χαρακτηριστικά έχουν ως εξής:

processname | συμβολοσειρά | προαιρετικό | Το όνομα της διεργασίας που σχετίζεται με το συμβάν
username | συμβολοσειρά | προαιρετικό | Το όνομα του λογαριασμού χρήστη που σχετίζεται με το συμβάν
hash | συμβολοσειρά | προαιρετικά | Κατακερματισμός SHA1 του αποκλεισμένου αρχείου
object_uri | συμβολοσειρά | προαιρετικό | URI αντικειμένου
action | συμβολοσειρά | προαιρετικά | Η ενέργεια πραγματοποιήθηκε
firstseen | συμβολοσειρά | προαιρετικά | Ώρα και ημερομηνία κατά την οποία βρέθηκε η ανίχνευση για πρώτη φορά σε αυτόν τον υπολογιστή (μορφή ημερομηνίας και ώρας).
cause | συμβολοσειρά | προαιρετικά |
description | συμβολοσειρά | προαιρετικά | Περιγραφή του αποκλεισμένου αρχείου
handled | συμβολοσειρά | προαιρετικά | Υποδεικνύει εάν αντιμετωπίστηκε η ανίχνευση

˄˅